SSL Compliance Audit Hazırlığı

SSL ile ilgili bir denetime girerken asıl soru "sertifikamız var mı" değil, "hangi sertifikalardan sorumluyuz, nasıl yönetiyoruz ve bunu kanıtlayabilir miyiz" sorusudur. Hazırlık, bu kanıtları önceden toplamaktır.

Denetçinin genelde istediği kanıtlar

• Güncel sertifika envanteri: alan adı, tür, bitiş tarihi, sorumlu kişi
• Yenileme ve iptal prosedürünün yazılı hali
• Özel anahtarların nerede ve kimin erişimiyle tutulduğu
• İzleme ve alarm yapılandırmasının ekran görüntüleri veya çıktıları
• Geçmiş olayların kayıtları (süresi dolan sertifika, iptal vb.) ve alınan önlemler
• Kabul edilen TLS sürümleri ve şifre paketleri

Hazırlık adımları

1. Kapsamı belirleyin: internete açık ve iç ağdaki tüm TLS uç noktalarını listeleyin.
2. Zayıflıkları tarayın: eski protokoller, zayıf şifreler, eksik zincir ve kısa süreli kalan sertifikaları bulun. Hızlı bir ilk bakış için SSL kontrol aracı kullanılabilir.
3. Politikayı yazın: asgari anahtar uzunluğu, izin verilen CA'lar, yenileme eşikleri.
4. Kanıt klasörü oluşturun: aylık raporlar, değişiklik kayıtları, eğitim notları.
5. Prova yapın: bir sertifikanın iptalini ve yenilenmesini uçtan uca deneyip süreyi ölçün.

Kontrol komutu örneği

nmap --script ssl-enum-ciphers -p 443 example.com

Bu çıktı, sunucunun kabul ettiği protokol ve şifreleri gösterir; eski sürümlerin kapalı olduğunu kanıtlamak için işe yarar.

Sık görülen bulgular

1. Envanterde olmayan "gölge" sertifikalar.
2. Sorumlusu ayrılmış sertifikalar.
3. Test ortamında üretimle aynı özel anahtarın kullanılması.

Denetim hazırlığının özü sürekli düzen kurmaktır; son hafta yapılan telaşlı toplama kanıt kalitesini düşürür. Uyumluluk gereksinimlerinize uygun ürün seçimi için SSL seçim rehberine başvurabilirsiniz.

Denetim günü için kısa rehber

• Envanter tablosunu, politikayı ve son üç aylık izleme çıktılarını tek klasörde hazır tutun.
• Denetçinin sorabileceği üç soruya cevap hazırlayın: Bu sertifikadan kim sorumlu? Süresi dolarsa nasıl öğrenirsiniz? Anahtar ele geçirilirse ne yaparsınız?
• Cevaplarınızı kanıtla destekleyin; sözlü anlatım yerine ekran görüntüsü veya kayıt sunun.